LiteSpeed Cache 7.9.2未満に未認証Stored XSS（フォント最適化、CVE-2026-113500）

WordPressプラグイン「LiteSpeed Cache」の脆弱性情報（CVE-2026-113500）。影響バージョンは7.9.2未満（7.9.1以前）。修正版 7.9.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

LiteSpeed Cache（プラグイン）

CVE

CVE-2026-113500

CVSS / 深刻度

7.5 / High

影響バージョン

7.9.2未満（7.9.1以前）

修正版

7.9.2

脆弱性種別

未認証の格納型クロスサイトスクリプティング（Stored XSS）

脆弱性の概要

LiteSpeed Cache 7.9.2未満で、Font Display OptimizationのSwap設定と未エスケープのコメント投稿者名が組み合わさると、未認証の投稿者が公開ページに不正なJavaScriptを埋め込める格納型XSS。管理者が閲覧した場合は管理操作への悪用につながる恐れがある。

技術的な内容

発動条件は（1）未認証訪問者のコメントが公開される、（2）テーマ等がコメント投稿者名を適切にエスケープせず出力する、（3）Page Optimization > CSS Settings > Font Display OptimizationがSwapに設定されていること。スタイル以外にも適用されるHTML最適化処理が属性の閉じ部分を壊し、JavaScriptイベント属性を挿入可能になる。現時点で実環境での悪用確認はない。更新版7.9.2では修正済み。

悪用状況

実攻撃は未確認

推奨対応

LiteSpeed Cacheを7.9.2以上へ更新し、更新後にページキャッシュ/CDNキャッシュを削除する。承認済みコメントの投稿者名・URLに不審な記載がないか確認する。未更新の間はコメントを手動承認制にし、該当する最適化設定を停止する。管理者が不審なコメントを表示した可能性がある場合は管理者アカウント、権限変更、追加ユーザー、操作履歴を調査する。

情報源

• LiteSpeed Technologies（開発元公式：影響条件と修正済み7.9.2）
• WordPress.org（公式配布・7.9.2変更履歴）
• WPScan（CNA・脆弱性技術情報、CVSS）
• CVE.org（CVE識別子）

情報確認日時：2026年10月25日 13:05

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。